最新火爆游戏巨献——谈Flash Player的安全机制

发表于2015-08-06
评论0 462浏览

想免费获取内部独家PPT资料库?观看行业大牛直播?点击加入腾讯游戏学院游戏程序行业精英群

711501594
话说在世界的尽头,太阳落下彩虹升起的地方,有一个神秘的部落。在这个部落里,房子是用金子盖的,路是用鲜花铺的,女孩子都很漂亮,男孩子都很帅。山上的丛林里,山下的小河中,都蕴含着丰饶的物产。自古以来,部落里善良勤劳的人们与世隔绝,自给自足,过着幸福的生活。
1969年发生了一件大事,ARPAnet正式启用并在稍后被称做INTERNET,从此大地风云变色,风起云涌,沧海桑田,换了人间。40年过去,弹指一挥间,当年的神秘部落也在潮涨潮落间悄悄有了改变……
外界的奸商看着这片丰饶的土地流下了口水,普通的民众也对也对它神秘的一面充满了新奇。我们不禁要关注这个可爱部落的前途命运,在迎接世界的过程中,它将得到还是失去……

OK, 以上是年度游戏大作《Flash Player安全机制》的片花介绍,现在我们来详细解释游戏规则。

总体说明:
1. 与部落打交道的外界的人和资源集中在外界的“商场”里,也就是部落对外交流的接口是一个个的商场,每个商场里面有外界的资源和外界的人。
2. 游戏任务是保护部落里的资源不被外界滥用,这种保护是通过制定规则来做到的

游戏构成:
1. 机构:(资源在机构之间流通)
a. 外界的商场:包括商场A,商场B,...,商场N
b. 部落土著的工厂:收购部落本身的物产进行生产
c. 外界人员组成的神秘部落探险队:对部落小心刺探,与外界联系紧密
d. 部落土著组成的学习外界先进科学文化知识小组:由血统纯正,忠诚无比的部落先进分子组成,代表部落先进生产力,先进文化,先进……
2. 资源:(包括人和物产)
a. 人:二十一世纪什么最贵?人才!人是第一位的,是具有主观能动性的资源
b. 金矿石
c. 金子
d. 千年雪莲
3. 老板:(管理资源在机构间的流通)
a. 外界商场老板:每个商场一位老板
b. 部落的头领:部落最高领导人,仅有一位,拥有至高无上的权利(在部落中)
c. 人的思想:这个不太好描述,俗话说解放思想实事求是,可见思想可以控制人的行为。因此思想也算是老板,它可以控制人做什么或不做什么
4. 通行证:(资源流经各个机构时,老板是否允许其通行的凭证)
a. 商场通行证:可以用来说服商场老板开放资源
b. 部落头领通行证:可以用来说服头领把资源分配到土著学习小组去
c. 解放思想通行证:此证可以解放人的思想,堪称魔力无穷,相当犀利

游戏规则:(重点来了啊)
1. 外界的商场不允许直接访问土著的工厂、探险队、学习小组的一切资源。因为外界是不受部落信任的,它的一举一动都被严密监视,它不能主动对部落做任何刺探
2. 外界的商场之间可以互相沟通往来资源,前提是商场老板间有通行证随同
3. 土著的工厂收集本部落的一切资源,也可以征用本部落的一切人员
4. 土著的工厂不能与外界的探险队有任何往来。这个很重要,因为探险队可能是外界派来的侦查兵,或潜伏人员
5. 土著的工厂可以与学习小组交换一般的资源,但是只有提供解放思想通行证,才能与学习小组的人员交流(这个交流可以是简单的语言交流,也可能是通婚,程度不限,因此要慎重)
6. 土著的工厂不允许使用外界商场的一切资源。这也合情理,土著嘛,都相信自然是最美的,非自然是危险的
7. 外界探险队可以收集部落内的金矿石,进行研究
8. 外界探险队不可以直接收集部落内的金子,这不是研究了,而是掠夺
9. 外界探险队不可以收集千年雪莲,因为这个对部落来说也很珍贵
10. 外界探险队不可以使用土著工厂的任何资源。与规则4保持一致
11. 外界探险队可以与学习小组的人员交流,只要能提供解放思想通行证(这是非常危险的行为,万一学习小组内部有潜伏人员……)
12. 外界探险队使用外界商场的资源,只要有商场通行证。外界的人还是用外界的东西比较舒服
13. 学习小组可以使用所有的资源。这个概括是有力的,因为学习小组得到了头领或分片领导的信任,它可以内外通吃,想吃就吃,想拿东西就拿东西,想用人就用人,不需要任何通行证

好了,针对上面的规则,有办法让部落的资源外泄吗?需要注意的是,通行证可不是好搞的啊,特别是部落内的通行证,合理的才能发,因为部落里的人可不懂走后门这一说。




真相还原

总体说明:
1. 部落是指电脑主机,里面有各种各样隐秘的资源。商场是指各个website,上面有外界的静态资源和flash SWF文件资源 。
2. Flash安全机制的目的主机的资源不被外界滥用,这种保护是通过制定规则来做到的。

安全机制构成:
1. 安全沙箱(sandboxes):
a. 远程沙箱(Remote sandbox): 不同的website属于不同的远程沙箱,例如sitea.com和siteb.com都属于远程沙箱,但是属于不同的远程沙箱
b. 本地文件系统沙箱(local-with-filesystem sandbox):对本地文件系统比对远程有更多的访问权
c. 本地网络沙箱(local-with-networking sandbox):对远程范围比对本地有更多的访问权
d. 本地信任沙箱(local-trusted sandbox):本地受信任沙箱,对本地资源和远程资源都有绝对的访问权
2. 资源:(包括swf文件和静态资源)
a. Swf文件:是唯一的主动资源,因为它可以访问其他资源,它自身也可以作为资源被load,或者被cross-script访问
b. Load 资源文件:比如load一个图片,或者音频、视频等
c. 访问资源文件的内容:比如查看图片的像素,音频中的ID3属性等。这属于在资源中提取有价值的属性,恰似在金矿石中提取金子,因此它受限多一些
d. Load数据:比如load一个XML文件或者二进制文件。基本上b、d很难用语言区分,区分它们的最好办法是通过API的调用,一些API划分为b,另一些划分为d,具体参看文档~
3. stakeholder:
a. 网站管理员
b. 本地主机管理员:事实上还有本地主机普通用户也是作为一个stakeholder,但与主机管理员职责相似,只是主机管理员决定整个系统的配置,而用户负责自己账户的配置
c. Swf文件创建者:创建swf文件者可以决定此文件是否允许被交叉脚本访问,即cross-script,即开放接口和数据供另一个swf文件调用
4. Policy file:
a. 发布者许可(政策文件):是一个简单的xml文档,给予其信任来源的swf文件访问资源的权利
b. 管理员控制文件:用于管理员启用或限制用户对各种功能的访问,其形式有使用mms.cfg文件、全局Flash player信任目录、设置UI和设置管理器等
c. 创建者许可:通过在创建swf文件时调用“Security.allowDomain()”方法,来允许其他swf文件对其进行交叉脚本访问。见3(c)

规则:
1. Remote sandbox 中的swf不允许直接访问本地主机资源
2. Remote 范围内的各个sandbox域可以互相访问,但除了2(b)外一般需提供4(a),交叉脚本控制时需提供4(c)
3. Local-with-filesystem sandbox可以访问本地文件系统的一切资源,也可以交叉脚本访问本地文件系统的swf文件
4. Local-with-filesystem sandbox不允许访问local-with-networking的一切资源
5. Local-with-filesystem sandbox只有提供4(c)才可以交叉脚本控制local-trusted sandbox中的swf文件
6. Local-with-filesystem sandbox不允许访问remote sandboxes 中的一切资源
7. Local-with-networking sandbox可以进行2(b)
8. Local-with-networking sandbox不可以进行2(c)
9. Local-with-networking sandbox不可以进行2(d)
10. Local-with-networking sandbox 不允许访问local-with-filesystem的一切资源
11. Local-with-networking sandbox可以对local-trusted进行2(b),但只有提供4(c)才可以交叉脚本控制local-trusted sandbox中的swf文件。
12. Local-with-networking sandbox可以对remote sandboxes进行2(b),但只有提供4(c)才可以交叉脚本控制local-trusted sandbox中的swf文件,而且只有提供4(a)才允许进行2(c)和2(d)
13. Local-trusted可以对任何sandbox域的资源进行访问和交叉脚本控制


场景虚拟:
1. 本地主机有一个私密文件,上面有用户银行账号,在C:/Program Files/Adobe/bankaccount.txt中
2. Hacker给主机用户发送一个Email,里面有个动画hack.swf作为附件
3. 主机用户运行hack.swf,hack.swf在播放一些防止人多拥挤,电梯故障处理等视频的同时,偷偷使用URLLoader(C:/Program Files/Adobe/bankaccount.txt)装载文件,并且通过net.sendToURL()把它传到Hacker的网站
4. Hacker发财了
这里注意,步骤3是不可能的,因为hack.swf在本地被打开,它可能位于local-with-filesystem sandbox或位于local-with-networking sandbox(这由编译时”-use-network”选项决定)。假设:
1. 位于local-with-filesystem sandbox:net.sendToURL()是与remote sandbox打交道的API,因此会被阻止
2. 位于local-with-networking sandbox:URLLoader()本地文件系统的内容会被阻止
所以,由于flash player安全机制的保护,本地用户是安全的,这就是为什么Hacker里没有太富的人的原因。



宗旨:
为了帮助刚刚接触安全机制的同学理清思路,明白概念,这里只大概描述了一些最主要的枝干,具体的细节请参看官方文档:http://help.adobe.com/en_US/ActionScript/3.0_ProgrammingAS3/WS5b3ccc516d4fbf351e63e3d118a9b90204-7d23.html

原文链接

著作权归作者所有,商业转载请联系作者获得授权,非商业转载请注明出处。

如社区发表内容存在侵权行为,您可以点击这里查看侵权投诉指引

游戏学院公众号二维码
腾讯游戏学院
微信公众号

提供更专业的游戏知识学习平台